1. DFN Workshop Datenschutz. Rechtliche Aspekte der Auftragsdatenverarbeitung

Transkript

1 1. DFN Workshop Datenschutz Rechtliche Aspekte der Auftragsdatenverarbeitung Hamburg, Dr. Jens Eckhardt Rechtsanwalt und Fachanwalt für IT-Recht JUCONOMY Rechtsanwälte 1

2 1 Grundverständnis der Auftragsdatenverarbeitung 2 Verantwortung des Auftraggebers 3 Vertragsgestaltung ein Überblick 4 Auftragsdatenverarbeitung mit Auslandsbezug 2

3 Grundverständnis der Auftragsdatenverarbeitung Privilegierungswirkung der Auftragsdatenverarbeitung 3 Abs. 8 S. 3 BDSG kraft Gesetzes: keine Übermittlung aber: nur (!) innerhalb EU/EWR EU-DSGVO-E: Privilegierungswirkung? Auftragsdatenverarbeitung vs. Funktionsübertragung 3 Kernmerkmale der Auftragsdatenverarbeitung strikte Weisungsgebundenheit keine Übertragung der Aufgabe als solche Vertrag nach Maßgabe des 11 BDSG Auftragsdatenverarbeitung oder Funktionsübertragung rechtstheoretisch: Wahlfreiheit Vertrag ( 11 BDSG) oder 14 ( 28, 32) BDSG Vor- und Nachteile Tendenz der Aufsichtsbehörden: Vertrag nach 11 BDSG 3

4 Grundverständnis der Auftragsdatenverarbeitung Sonderfall 11 Abs. 5 BDSG wenn die Prüfung oder Wartung automatisierter Verfahren oder von Datenverarbeitungsanlagen durch andere Stellen im Auftrag vorgenommen wird und dabei ein Zugriff auf personenbezogene Daten nicht ausgeschlossen werden kann. Regelung eines erkannten Zweifelsfalls nicht ausgeschlossen werden kann = Tatsachenfragen Konsequenz: Anwendung des 11 Abs. 1 bis Abs. 4 BDSG Abschluss eines Vertrags über die Auftragsdatenverarbeitung Probleme in der Praxis Beschreibung der Tätigkeit als Nicht-Datenverarbeitung Ausrichtung der 11 Abs. 1 bis Abs. 4 BDSG an echter ADV 4

5 1 Grundverständnis der Auftragsdatenverarbeitung 2 Verantwortung des Auftraggebers 3 Vertragsgestaltung ein Überblick 4 Auftragsdatenverarbeitung mit Auslandsbezug 5

6 Verantwortung des Auftraggebers 2 Elemente der Verantwortung des Auftraggebers im Rahmen der ADV Zulässigkeit der Erhebung/Verwendung durch den Auftragsdatenverarbeiter Verantwortung für Zulässigkeit der Datenerhebung/-verwendung ADV ist Gegenstand der Auskunft nach 34 BDSG Informationspflicht nach 42a BDSG è keine Auslagerung der Verantwortlichkeit in Bezug Zulässigkeit Zulässigkeit der Auslagerung Haftung des Auftraggebers ( 11 Abs. 1 BDSG) rechtlich: Vertragsgestaltung tatsächlich: Kontrollerfordernis è im Ergebnis: weitere Zulässigkeitsprüfung kommt hinzu Beispiel: Google Analytics: Tracking und Auslagerung an Google 6

7 1 Grundverständnis der Auftragsdatenverarbeitung 2 Verantwortung des Auftraggebers 3 Vertragsgestaltung ein Überblick 4 Auftragsdatenverarbeitung mit Auslandsbezug 7

8 Vertragsgestaltung ein Überblick Vertrag über die Auftragsdatenverarbeitung ( 11 BDSG) strikte Weisungsgebundenheit des Auftragnehmers Schriftform ( 11 Abs. 2 S. 2 BDSG) Mindestinhalt: 10-Punkte-Katalog ( 11 Abs. 2 S. 2 Nr. 1 10) Gegenstand und Dauer des Auftrags Umfang und Zweck der DV, Art der Daten und Betroffenen Technisch-organisatorische Maßn. ( IT-Sicherheit ) Berichtigung, Löschung und Sperrung von Daten Pflichten des AN nach Abs. 4 sowie dessen Kontrollpflichten Berechtigung zu Unterauftragsverhältnissen Kontrollrechte des AG & Mitwirkungs-/Duldungspflicht des AN Mitteilungspflicht des AN bzgl. Verstöße gg. Datenschutz/ADV Umfang des vorbehaltenen Weisungsrechts des AG Rückgabe von Datenträgern und Löschungspflicht 8

9 Vertragsgestaltung ein Überblick Ausschnitt aus dem 10-Punkte-Katalog (Mindestinhalt) Berechtigung zu Unterauftragsverhältnissen (Nr. 6) Gestattung bei bestimmten Kriterien und/oder Zustimmungsvorbehalt und/oder Sonderkündigungsrecht Kontrollrechte des Auftraggebers (Nr. 7) Kontrollrecht vor Ort + Duldung/Mitwirkung des AN auch bei Unterauftragnehmern Löschung/Rückübertragung nach Ende des Auftrags (Nr. 10) unentgeltliche Pflicht nach Weisung Zusätzlicher Regelungsbedarf Hinweispflicht des AN bzgl. Rechtswidrigkeit ggüb. AG Regelung zu 42a BDSG (Informationspflicht bei Datenpannen )... 9

10 Vertragsgestaltung ein Überblick Neuerungen durch die Praxis der Datenschutzaufsichtsbehörden Festlegung des Standorts der DV Wie konkret? (EU/EWR, Land, Stadt oder Anschrift?) Eigeninteresse des AG neben Datenschutzpflichten Kontrolle des Auftragnehmers durch Auftraggeber Überzeugungsbildung in Bezug auf techn.-organisator. Maßn. Pflicht zur Überzeugungsbildung zwar: keine Pflicht zur Kontrolle vor Ort Zertifikate/Gütesiegel vs. Kontrolltourismus aber: vertraglicher Vorbehalt des Rechts zur Kontrolle vor Ort Techn.-organ. Maßnahmen als Datenschutz auch: Geheimhaltungspflichten gegenüber Drittpartnern auch: Eigeninteresse am Selbstschutz Forderung nach Vertragsstrafen zur Absicherung der Pflichten 10

11 Vertragsgestaltung ein Überblick Beispiele: ADV - unterschiedlicher kann es kaum sein Reinigungskräfte Anstellung vs. Externe Dienstleistung Problem: mehr als 20 seitiger ADV-Vertrag 11 Abs. 5 BDSG Google Analytics (nach Modell des Düsseldorfer Kreises) Abschluss eines abgestimmten Vertrags über die ADV Techn.-organisator. Maßnahme Kontrolle? keine ADV oder nur 11 Abs. 5 BDSG oder mehr wer weiß es Cloud Computing (IaaS, PaaS, SaaS) eigentlich gerade keine Datenverarbeitung durch Cloud Provider Beweglichkeit der Daten 11 Abs. 5 BDSG è one size fits all 11

12 1 Grundverständnis der Auftragsdatenverarbeitung 2 Verantwortung des Auftraggebers 3 Vertragsgestaltung ein Überblick 4 Auftragsdatenverarbeitung mit Auslandsbezug 12

13 Auftragsdatenverarbeitung mit Auslandsbezug Anwendung deutschen Datenschutzrechts keine Rechtswahl möglich - Geltung kraft Gesetzes entscheidend: Beziehung ADV-Auftraggeber Betroffener Grundsatz nach 1 Abs. 5 BDSG (vereinfacht): Erhebung und Verwendung in Deutschland durch Unternehmen mit Sitz in Deutschland: deutsches Datenschutzrecht Sitz innerhalb EU/EWR: Sitzlandprinzip Ausnahme: Niederlassung im Inland mit Sitz außerhalb EU/EWR: deutsches DatenschutzR Ausnahme: Datentransit 13

14 Auftragsdatenverarbeitung mit Auslandsbezug Grundsätzliche Differenzierung bei grenzüberschreitenden Cloud-Services Datenübertragung innerhalb EU/EWR Datenübermittlung nach den allgemeinen Regeln keine zusätzliche Hürde wegen Grenzüberschreitung ( 4b Abs. 1) besondere Relevanz bei: AuftragsDV nach 11 BDSG 3 Abs. 8 S. 3 BDSG: keine(!) Privilegierungswirkung einer Auftragsdatenverarbeitung mit Unternehmen in Drittstaat Konsequenz: Übertragung in Drittstaat = Übermittlung i. S. d. BDSG Datenübertragung in andere Staaten (sog. Drittstaaten) Datenübermittlung nur unter den zusätzlichen Anforderungen der 4b, 4c BDSG (siehe nächste Folie) Konsequenz: zweistufige Prüfung Zulässigkeit der Datenübermittlung in einen Drittstatt Zulässigkeit der Datenübermittlung an einen Dritten nicht ADV, sondern 14 ( 28, 32) BDSG 14

15 Auftragsdatenverarbeitung mit Auslandsbezug Zulässigkeit der Übermittlung in Drittstaaten ( 4b, 4c BDSG) Zulässigkeit aufgrund angemessenem Datenschutzniveau bei Empfänger ( 4b Abs. 2 und 3) Sonderfall: sog. Safe Harbor-Principles bei US-Unternehmen Beschluss vom 28./ des Düsseldorfer Kreises Prüfung von Mindestanforderungen Zulässigkeit trotz unangemessenem Datenschutzniveau ( 4c Abs. 2) insbesondere: Einwilligung des Betroffenen (transparent und freiwillig?) Zulässigkeit aufgrund Genehmigung durch die Aufsichtsbehörde ( 4c Abs. 2) individuelle Genehmigung (Vertrag oder BCR) Sonderfall: EU-Standardvertragsklauseln Zusätzlich stets: Regelungen nach 11 Abs. 2 BDSG (Düsseldorfer Kreises, Orientierungshilfe Cloud Computing) 15

16 Diskussion und Fragen Vielen Dank für Ihre Aufmerksamkeit! Dr. Jens Eckhardt Rechtsanwalt und Fachanwalt für IT-Recht JUCONOMY Rechtsanwälte Graf-Recke-Straße Düsseldorf 0211 / / eckhardt@juconomy.de Newsletter unter: 16